安全公告

摘要： 已发现针对 MinIO 服务器的签名验证绕过漏洞，该漏洞已在 RELEASE.2021-03-17T02-33-02Z 中修复。

严重程度： 中等

受影响的用户： RELEASE.2021-03-17T02-33-02Z 之前的 MinIO 服务器版本的所有用户 受影响。通过 TLS 访问 MinIO 的用户不受影响。

建议用户采取的措施： 建议所有用户将 MinIO 部署升级到最新版本。该问题已在版本 RELEASE.2021-03-17T02-33-02Z 中修复。

描述： MitM 攻击者可以修改 S3 流签名 V4 编码对象数据的块大小。当连接未通过 TLS 加密时，这可以被滥用来修改上传的内容。

感谢我们社区的 @jcsp 发现并向我们的安全团队报告了这个问题。已提交的补丁以原子方式读取并验证 S3 流签名 V4 块，而不是延迟签名检查。有关更多信息，请查看我们的 Github 安全公告。该补丁已通过审查并接受，并已发布新版本。

成功利用该漏洞可以用来修改正在进行的上传，而无需有效的访问/密钥。在撰写本文时，尚未在现实世界中观察到此漏洞。